Dokumentacja „na półkę” – dlaczego martwe procedury są największym ryzykiem podczas kontroli?
Przygotowanie do audytu z zakresu Krajowego Systemu Cyberbezpieczeństwa (KSC) w jednostkach samorządu terytorialnego często kończy się na masowym kopiowaniu wzorców polityk bezpieczeństwa, które w żaden sposób nie przystają do rzeczywistych procesów zachodzących w urzędzie. Jest to kardynalny i najczęściej powtarzający się błąd wykazany w raportach pokontrolnych NIK oraz niezależnych audytorów. Należy pamiętać, że audytorzy KSC nie sprawdzają jedynie fizycznego istnienia dokumentu zatytułowanego “Polityka Bezpieczeństwa Informacji”. Ich zadaniem jest weryfikacja operacjonalizacji tych zapisów, czyli sprawdzenie, czy to, co jest napisane, jest faktycznie realizowane przez pracowników.
Jeśli w procedurze zapisano, że każdy dostęp do pomieszczeń przetwarzania danych jest ewidencjonowany, a na portierni audytor zastaje brudny brulion z nieczytelnymi wpisami, brakiem godzin zwrotu kluczy czy wpisami “wstecznymi”, mamy do czynienia z rażącą niezgodnością, która może skutkować negatywną oceną całego SZBI. Kolejnym krytycznym błędem jest brak realnych, cyklicznych testów planów ciągłości działania (BCP). Urzędy deklarują posiadanie procedur odtwarzania danych, ale w praktyce rzadko wykonują symulacje “na żywo”, które mogłyby wykazać np. paraliż decyzyjny przy braku prądu lub – co zdarza się nader często – brak fizycznej możliwości dostania się do kluczy zapasowych czy sejfów w godzinach nocnych. Dokumentacja SZBI musi być żywym organizmem, ewoluującym wraz ze zmianami kadrowymi i technologicznymi, a każda modyfikacja w strukturze IT musi być poprzedzona aktualizacją analizy ryzyka, co jest fundamentem KSC.
Brak rozliczalności dostępu fizycznego i ciche przyzwolenie na luki w kontroli
Drugim obszarem, na którym polega ogromna liczba polskich samorządów podczas audytu, jest całkowicie niedostateczna kontrola nad infrastrukturą fizyczną i brak gradacji uprawnień. Audytorzy KRI i KSC zwracają szczególną uwagę na to, kto faktycznie zarządza dostępem do urządzeń sieciowych, serwerów i szaf dystrybucyjnych. Powszechnym i bardzo niebezpiecznym błędem jest powierzanie kluczy do serwerowni firmom zewnętrznym (outsourcing IT) bez żadnych mechanizmów ewidencji czasu ich pracy i zakresu dostępu. Wprowadzenie elektronicznych depozytorów kluczy pozwala na uniknięcie tej pułapki audytowej. System ten generuje twarde, niepodważalne dane o tym, kiedy konkretny serwisant pobrał klucz i kiedy go zwrócił, co jest niezbędne do spełnienia wymogu rozliczalności zapisanego w KRI.
Innym błędem jest brak separacji uprawnień – sytuacja, w której jeden klucz “generalny” otwiera zarówno biuro, archiwum, jak i serwerownię, jest niedopuszczalna w świetle nowoczesnych standardów bezpieczeństwa. Poprawnie przygotowany urząd to taki, który potrafi w dowolnym momencie udowodnić (wyciągiem z logów systemowych), że dostęp do zasobów jest limitowany do niezbędnego minimum (zasada Need-to-Know). Uniknięcie tych błędów wymaga od kierownictwa urzędu zmiany mentalnej: przejścia od “bezpieczeństwa papierowego”, tworzonego pod kontrolę, do realnego monitorowania każdego punktu styku człowieka z informacją. Tylko wtedy audyt KSC nie będzie stresującym wydarzeniem, lecz formalnym potwierdzeniem wysokiej jakości zarządzania publicznego. Pamiętajmy, że w nowym systemie kar przewidzianym przez NIS2, zaniedbania w dokumentacji i brak realnych środków technicznych mogą kosztować urząd nie tylko utratę reputacji, ale i dotkliwe sankcje finansowe, nakładane bezpośrednio na osoby zarządzające.
